Documentos obrigatórios da ISO 42001 (sistema de gestão de IA)

A ISO/IEC 42001:2023 exige como informação documentada, entre outros: o escopo do sistema de gestão de IA (4.3), a política de IA (5.2), os processos e resultados de avaliação e tratamento de riscos de IA (6.1.2, 6.1.3, 8.2 e 8.3), a Declaração de Aplicabilidade (6.1.3), a avaliação de impacto dos sistemas de IA (6.1.4 e 8.4), os objetivos de IA (6.2) e os registros de competência, monitoramento, auditoria interna, análise crítica pela direção e ações corretivas.

Documentos exigidos por cláusula

Documento	Cláusula	Para que serve
Escopo do sistema de gestão de IA	4.3	Define quais sistemas, processos e papéis em relação à IA estão cobertos
Política de IA	5.2	Compromissos da alta direção e estrutura para os objetivos
Processo de avaliação de riscos de IA	6.1.2	Critérios para identificar, analisar e avaliar os riscos
Processo de tratamento de riscos de IA	6.1.3	Como os controles são escolhidos e os riscos residuais aprovados
Declaração de Aplicabilidade	6.1.3	Controles necessários do Anexo A, justificativa e situação da implementação
Processo de avaliação de impacto dos sistemas de IA	6.1.4	Como avaliar as consequências para pessoas, grupos e a sociedade
Objetivos de IA	6.2	Metas mensuráveis e planos para alcançá-las
Evidências de competência	7.2	Treinamento e experiência das pessoas que trabalham com sistemas de IA
Informações operacionais	8.1	O necessário para confiar que os processos são executados como planejado
Resultados da avaliação de riscos	8.2	Registro de riscos atualizado
Resultados do tratamento de riscos	8.3	Plano de tratamento e andamento
Resultados das avaliações de impacto	8.4	Avaliações de impacto de cada sistema
Resultados de monitoramento e medição	9.1	Indicadores e sua análise
Programa e resultados de auditoria interna	9.2	Plano, relatórios e constatações
Resultados da análise crítica pela direção	9.3	Decisões e ações da alta direção
Não conformidades e ações corretivas	10.2	O que deu errado, causa, ação e resultado

A cláusula 7.5.1 acrescenta a informação documentada que a própria organização considera necessária para a eficácia do sistema, e vários controles do Anexo A pedem decisões documentadas sobre ciclo de vida, dados e informações fornecidas aos usuários.

Registros que os auditores costumam pedir além da lista

Inventário dos sistemas de IA com finalidade, papel da organização e pessoas afetadas.
Registro dos fornecedores de IA e das responsabilidades acordadas com eles.
Evidências de treinamento e letramento em IA das pessoas.
Registro de incidentes ou preocupações relatadas sobre sistemas de IA, incluindo os que envolvem dados pessoais (LGPD).
Controle de versões e aprovações dos documentos do sistema.

Erros comuns

Copiar a Declaração de Aplicabilidade da ISO 27001: a ISO 42001 tem seu próprio Anexo A com 38 controles.
Avaliar os riscos para a organização, mas esquecer a avaliação de impacto nas pessoas afetadas pelo sistema.
Ter uma política de IA sem objetivos mensuráveis nem indicadores para acompanhá-la.
Não registrar o papel da organização em cada sistema (por exemplo, fornecedor ou usuário).
Documentos sem responsável nem data de revisão.

Como organizar a documentação

Uma estrutura prática separa governança (escopo, política, papéis), planejamento (metodologia de riscos, registro de riscos, avaliação de impacto, Declaração de Aplicabilidade, objetivos), operação (procedimentos de ciclo de vida, dados e fornecedores) e avaliação e melhoria (indicadores, auditoria, análise crítica, ações corretivas). Se a organização já tem ISO 27001, os documentos de gestão comuns são ampliados em vez de duplicados.

Baixar a amostra grátis (em inglês) Ver o kit ISO 42001 em português

Perguntas frequentes

Quantos documentos obrigatórios tem a ISO 42001?

Não há um número fixo: a norma pede informação documentada em várias cláusulas (escopo, política, riscos, impacto, Declaração de Aplicabilidade, objetivos e registros de operação, avaliação e melhoria). Cada organização acrescenta o que considera necessário.

A avaliação de impacto é obrigatória?

Sim. A cláusula 6.1.4 exige um processo de avaliação de impacto dos sistemas de IA e a cláusula 8.4 pede que os resultados sejam mantidos.

Posso reaproveitar documentos da ISO 27001?

Sim, nas partes comuns do sistema de gestão (controle de documentos, auditoria interna, análise crítica, ações corretivas). Os documentos específicos de IA precisam ser preparados à parte.

Em que formato os documentos devem estar?

A norma não exige formato. Podem ser documentos de texto, planilhas ou registros em uma ferramenta, desde que estejam controlados, disponíveis e protegidos.

Guias relacionados

Atualizado: 2026-10-20